Bir veri ihlali duyurulduğunda ilgili kişinin karşısına birbirinden farklı üç kanal çıkar: veri sorumlusuna başvuru, denetim kurumuna şikâyet ve gerektiğinde yargı yolu. Bu kanalların sırası yanlış kurulduğunda süreç, esasa hiç girilmeden usulden tıkanır. Bu rehber, ihlal sonrası başvuru sıralamasını ve her adımda toplanması gereken malzemeyi ele alır.
İhlalin Kapsamını Kendi Adınıza Tespit Etmek
Kamuoyuna yapılan genel bir ihlal duyurusu, sizin verinizin etkilenip etkilenmediğini göstermez. Bu nedenle ilk adım, veri sorumlusundan kendinize ilişkin somut bilgi talep etmektir: hangi veri kategorilerinin etkilendiği, ihlalin ne zaman gerçekleştiği, ne zaman tespit edildiği ve hangi önlemlerin alındığı. Bu bilgiler olmadan yapılan şikâyet, soyut kalır ve değerlendirilmesi güçleşir.
Veri Sorumlusuna Başvuru Şartının Atlanmaması
6698 sayılı KVKK sisteminde, Kişisel Verileri Koruma Kuruluna şikâyet kural olarak veri sorumlusuna başvuru yapılmış olmasına bağlıdır. Doğrudan kuruma gidilmesi, dosyanın usulden geri dönmesine ve zaman kaybına neden olur. Başvurunun yazılı ve tarih kaydı bırakan bir yöntemle yapılması; ayrıca yanıt gelmemesi ihtimaline karşı gönderim belgesinin saklanması gerekir. Bu belge, sonraki aşamanın giriş biletidir.
Sızan Verinin Yayıldığı Ortama Müdahale
İhlal sonucu elde edilen veriler internet ortamında yayımlanmışsa, bu ayrı bir müdahale hattı gerektirir. 5651 sayılı Kanun kapsamındaki içerik kaldırma ve erişim engelleme yolu, veri koruma sürecinden bağımsız biçimde ve paralel olarak işletilebilir. Ayrıca verinin ele geçirilmesi bir sisteme hukuka aykırı erişim yoluyla gerçekleşmişse, TCK'nın bilişim alanındaki suçları düzenleyen 243-245. maddeleri kapsamında ayrıca değerlendirme yapılması gündeme gelir. Bu üç hat aynı dilekçeye sıkıştırılmamalı, her biri kendi merciine yöneltilmelidir.
Zararın Belgelenmesi
- İhlal sonrası gelen olağan dışı çağrı, mesaj ve e-postaların kaydedilmesi
- Hesap ele geçirme girişimlerine ilişkin bildirimlerin saklanması
- Kimlik bilgilerinin kullanıldığı işlemler varsa ilgili kurum yazışmalarının temini
- Maddi kayıp doğmuşsa banka ve ödeme kayıtlarının tarih sırasıyla düzenlenmesi
- Manevi zarar iddiası bakımından yaşanan somut sonuçların yazılı olarak anlatılması
Tazminat Talebi ile İdari Süreç Arasındaki İlişki
Kurum nezdindeki idari süreç ile tazminat talebi birbirinin yerine geçmez. Kurumun vereceği karar, tazminat davasında güçlü bir dayanak oluşturabilir; ancak tazminat talebi için o kararın beklenmesi zorunlu değildir. Burada verilecek karar, dosyanın gücüne ve zamanın kime çalıştığına bakılarak alınmalıdır.
Veri Sorumlusunun Sunduğu Çözüm Paketleri
İhlal sonrası birçok kurum, ücretsiz izleme hizmeti veya bir miktar ödeme içeren mutabakat önerir. Bu öneriyi değerlendirirken bakılması gereken, metnin ileride ortaya çıkabilecek zararları da ibra edip etmediğidir. Veri ihlallerinde zarar çoğu zaman aylar sonra görünür hâle gelir; kapsamı geniş yazılmış bir ibra, o aşamada başvuru yolunu kapatabilir. Anlaşmak ile süreci sürdürmek arasındaki tercih, bu nedenle bugünkü teklifin tutarına değil, gelecekteki risklerin kapsanıp kapsanmadığına göre yapılmalıdır.
Bu içerik genel bilgilendirme amaçlıdır. İhlalin niteliği ve etkilenen veri kategorileri izlenecek yolu değiştireceğinden, başvuru öncesinde dosyaya özgü hukuki değerlendirme yapılması önerilir.